Prioritet: CVE-2026-41103 (Entra ID bypass) i CVE-2026-41089 (Netlogon SYSTEM eskalacija na domain controlleru)
Microsoft je 13. svibnja 2026. izdao Patch Tuesday koji zakrpava između 118 i 138 sigurnosnih ranjivosti (razlika u broju ovisi o metodi broja uključivanje ili isključivanje ranjivosti koje zahtijevaju "no customer action"). Najznačajnija karakteristika ovog Patch Tuesdaya: nijedna ranjivost nije bila javno poznata ili aktivno exploitana u trenutku objavljivanja što je prva takva situacija od lipnja 2024. To nije sign-off za opuštenost; to je relativna statistička anomalija koja se ne može pouzdano projicirati u budućnost.
Od zakrpanih ranjivosti, dvije su posebno prioritetne za enterprise IT timove prema KrebsOnSecurity i Tenable analizi. CVE-2026-41103 je Elevation of Privilege ranjivost koja omogućuje neovlaštenom napadaču da se impersonira kao postojeći korisnik prezentiranjem krivotvorenih kredencijala, čime zaobilazi Entra ID (bivši Azure Active Directory) autentikacijski mehanizam. Microsoft procjenjuje eksploataciju kao "More Likely" što znači da su sigurnosni istraživači identificirali realistične napadačke vektore. CVE-2026-41089 je kritična stack-based buffer overflow ranjivost u Windows Netlogon protokolu koja napadaču bez ikakvih privilegija daje SYSTEM razinu pristupa na domain controlleru. Dostupne su zakrpe za sve Windows Server verzije od 2012 nadalje.
Ostale ranjivosti koje zaslužuju pažnju: CVE-2026-40361 i srodni Word RCE propusti (CVSS 8.4, critical, "Exploitation More Likely") koji se mogu triggirati otvaranjem malicioznog Word dokumenta u Microsoft Paintu. Za korisnike koji primaju Word dokumente od eksternih pošiljatelja što je gotovo svaka organizacija ovo je relevantan rizik. CVE-2026-35428 je command injection u Azure Cloud Shell koji omogućuje spoofing. CVE-2026-42898 i CVE-2026-42823 su CVSS 9.9 ranjivosti u Microsoft Dynamics 365 i Azure Logic Apps.
Ekosustav koji okružuje ovaj Patch Tuesday je važan za razumijevanje: u prethodnih 30 dana cPanel CVE-2026-41940 je masivno exploitirana (44.000+ servera), Canvas LMS je pretrpio katastrofalni napad koji je pogodio 275 milijuna korisnika, a Flowise CVSS 10.0 je u aktivnoj eksploataciji s 12.000-15.000 izloženih instanci. Kontekst je dakle izrazito aktivan u smislu napadačke aktivnosti, i odsutnost zero-dayeva u ovom Patch Tuesdayu ne znači da je situacija stabilna znači da Microsoft ovaj put nije bio unaware of issues before public disclosure.
Britanski regulator Ofcom pokrenuo je istragu kako bi utvrdio ispunjava li TikTok obveze iz Zakona o sigurnosti na internetu i štiti li djecu od štetnog digitalnog sadržaja. Istraga će procijeniti je li platforma u vlasništvu ByteDancea uvela učinkovite sustave procjene dobi kojima može prepoznati maloljetne korisnike i spriječiti njihovo izlaganje štetnom materijalu.
Europska komisija naložila je Googleu da konkurentskim platformama umjetne inteligencije omogući ravnopravnije natjecanje s vlastitim uslugama na Androidu. Komisija je istodobno utvrdila zahtjeve za dijeljenje podataka prikupljenih putem Googleove tražilice.
Novo istraživanje Juniper Researcha procjenjuje da će broj korisnika agentske trgovine do 2031. dosegnuti 1,3 milijarde, u usporedbi s manje od 300 milijuna ove godine. Rast od gotovo 350 posto potaknut će izravna podrška velikih trgovaca, veća prihvaćenost AI sustava i šira dostupnost infrastrukture za agentska plaćanja.
